Как элегантно банить по ip при первой же попытке обращения к системному ресурсу из вне?

fail2ban если сконфигурируете корректно - подойдет. Он анализирует логи (в вашем случае access.log), выявляет подозрительные элементы на основе регулярных выражений и выполняет указанное вами действие.

Соответственно вы можете сконфигурировать блокировку на неограниченное время всех адресов при обращении к этим страницам, кроме вашего IP (блокировка начнет действовать после первого обращения).

Возможно есть более простые решения (например, через htaccess).